Spring Boot HttpSecurity - @PreAuthorize - 如何设置身份验证过滤器？

Question

我目前正在开发一个 API 授权。所以基本上我有一个过滤器JwtAuthorizationFilter。例如，在我的 RestController 中，我想注释应该通过 @PreAuthorize（“hasRole（'ADMIN'）”） 过滤的请求。所以我的问题是：我如何设置WebSecurityConfigureAdapter（或任何其他东西）来将注释与JwtAuthorizationFilter链接？

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // Basically permit every request, but if needed (through @PreAuthorize) check via JwtAuthorizationFilter)
    }
}

谢谢！向塞巴斯蒂安问好

Answer 1

JwtAuthorizationFilter的目的应该是设置身份验证。然后，SpringSecurity的默认安全方法就足够了。

您有几种选择：

如果JWT是由授权服务器创建的，那么Spring Security的默认JWT支持就足够了。Spring Security附带BearTokenAuthenticationFilter和JwtAuthenticationProvider。过滤器将解析＜code＞授权

如果您需要自定义如何将JWT声明转换为＜code＞GrantedAuthority@Bean。

有关完整设置的详细信息，请查看Spring Security的OAuth 2.0资源服务器示例。不过，基本上，您的配置如下所示：

java prettyprint-override">http
    .authorizeRequests((authz) -> authz
        .anyRequest().authenticated()
    )
    .oauth2ResourceServer((oauth2) -> oauth2
        .jwt(Customizer.withDefaults())
    );

Spring Security的现有支持在设计时考虑了授权服务器，但这不是必需的。

相反，您可以让您的应用程序生成自签名令牌。

您可以保留JwtAuthorizationFilter，但不清楚为什么Spring Security的现有支持不足。要添加过滤器，只需在（myFilter，BearTokenAuthenticationFilter.class）之前执行＜code＞addFilterBefore即可。。您可以查看BearTokenAuthenticationFilter作为创建自己的筛选器时应考虑的一些事项的示例。